ارزش یک سامانه دفاعی را نباید با لحن تهدیدآمیز یا وعده شکست‌ناپذیری توضیح داد. پرسش‌های مهم‌تر این‌اند: چه محیطی تحت پوشش است؟ چه رویدادهایی بررسی می‌شوند؟ چه کسی اجازه واکنش می‌دهد؟ و پس از یک رخداد، چه شواهدی برای بررسی باقی می‌ماند؟
سارا شیلد، شاخه حفاظت و دفاع سایبری خانواده سارا، با تمرکز بر همین مسئله معرفی می‌شود. این مقاله چارچوب نقش محصول را توضیح می‌دهد؛ نه ادعای مصونیت کامل یا گزارش پوشش همه تهدیدها.
حفاظت با شناخت محیط شروع می‌شود
برای هر استقرار، باید روشن باشد که چه دستگاه‌ها، سرویس‌ها و داده‌هایی در دامنه حفاظت قرار دارند. بدون این تعریف، حتی عبارت «پایش کامل» نیز معنای قابل‌آزمونی ندارد. پیشنهاد ما شروع از فهرست دارایی‌ها، اهمیت آن‌ها و مسیرهای دسترسی مجاز است.
چارچوب امنیت سایبری NIST نیز برای کمک به سازمان‌ها در فهم و بهبود مدیریت ریسک امنیتی ارائه شده است. ۱ ارجاع به آن در این مقاله، به معنی دریافت گواهی، تأیید محصول یا ادعای انطباق کامل سارا شیلد نیست.
تحلیل باید به تصمیم قابل‌پیگیری برسد
در رویکرد طراحی شیلد، مشاهده یک نشانه تنها آغاز بررسی است. باید مشخص شود این نشانه چه ارتباطی با سرویس موردنظر دارد و چه اقدام متناسبی پیشنهاد می‌شود. گزارش مفید، میان مشاهده مستقیم، برداشت تحلیلی و نتیجه تأییدشده تفاوت می‌گذارد.
برای مثال، افزایش خطاهای ورود می‌تواند موضوع بررسی باشد، اما نسبت‌دادن آن به یک مهاجم مشخص نیازمند شواهد دیگری است. این نمونه، سناریوی توضیحی است و گزارش یک حمله واقعی به زیرساخت ما نیست.
قدرت دفاعی با مرز اختیار همراه است
تعریف ما از دفاع، حفاظت از محیط مجاز است؛ نه تعرض به سامانه‌های دیگر. اقدام‌های خودکار نیز باید به مجوزهای مشخص و دامنه‌ای روشن محدود شوند. هر قابلیت واکنش باید در همان استقرار آزمایش و مستند شود.
معیار پیشنهادی برای سارا شیلد، توانایی کمک به تصمیم امن‌تر و رسیدگی روشن‌تر است: چه چیزی دیده شد، چرا مهم بود، چه اقدامی مجاز بود و نتیجه چه شد؟ چنین روایتی، اعتماد را بر شواهد بنا می‌کند، نه بر ترساندن مخاطب.
